Sleuthkit

mmls	Ausgabe der Partitionstabelle eines Laufwerks
fsstat	Dateisystemlayout anzeigen
ffind	findet (auch gelöschte) Dateinamen, die auf eine Metadatenstruktur (z.B. Inode) zeigen
fls	listet alle Dateinamen im Verzeichnis (auch gelöschte)
icat	Gibt Dateiinhalt basierend seiner inode nummer aus
ifind	findet Metadaten mit gewünschten Eigenschaften
ils	listet Metadatenstrukturen und ihre Inhalte
istat	Übersicht über Metadateneintrag

Siehe auch http://www.sleuthkit.org/sleuthkit/man/